Cisco ASA నుండి Azure VPN వరకు: ట్రాఫిక్ సెలెక్టర్ ప్రిఫిక్స్ జతలు

టన్నెల్ పైకి వస్తుంది, IKE ఆరోగ్యంగా కనిపిస్తుంది, కానీ దాని గుండా ఏమీ వెళ్లదు. ఇది ASA నుండి Azure వరకు సెలెక్టర్ సమస్య యొక్క సాధారణ రూపం, అందుకే ఏ కన్సోల్‌ను తాకే ముందు నేను ఒప్పందం రాస్తాను. ఒప్పందం నాలుగు విషయాలు: ప్రతి పీర్‌ను గుర్తించే వస్తువులు, కనెక్షన్ నమూనా, ఖచ్చితమైన ప్రిఫిక్స్ జతలు, ప్రతి జతను నిరూపించే ధృవీకరణ. ఇక్కడ తప్పు చేస్తే, తర్వాతి ప్రతి ఆదేశం మీరు నిర్మించకూడని కాన్ఫిగరేషన్‌ను డీబగ్ చేస్తుంది. ఈ రన్‌బుక్ నేను ఉపయోగించే క్రమం, ఏ వస్తువు నిజంగా తప్పు అని చూపించే ఆదేశాలతో.

కాన్ఫిగర్ చేసే ముందు నాలుగు వస్తువులు రాయండి

ASA విడుదల మరియు ప్లాట్‌ఫారమ్, పబ్లిక్ ఎండ్‌పాయింట్, Azure VPN గేట్‌వే రకం మరియు SKU, మరియు మీ వైపును సూచించే లోకల్ నెట్‌వర్క్ గేట్‌వేతో ప్రారంభించండి. ఆ నాలుగు పేర్లు తర్వాత వచ్చే అన్నింటికీ పదకోశం, మరియు ఏదైనా విరిగినప్పుడు ప్రతిదానికి వేరే బాధ్యుడు ఉంటాడు.

అందులో రెండు ఇంకా ఊహలైతే, ఆపండి. లోకల్ నెట్‌వర్క్ గేట్‌వేలో తప్పు ప్రిఫిక్స్ జాబితా ట్యూనింగ్ సమస్య కాదు.

ఒక కనెక్షన్ నమూనా ఎంచుకోండి మరియు టెంప్లేట్లను కలపడం ఆపండి

crypto map డిజైన్ మరియు tunnel interface డిజైన్ వేరే కాన్ఫిగరేషన్‌లు, ఒకదాని టెంప్లేట్ పీర్ చిరునామాను మార్చడం ద్వారా మరొకదానికి చెల్లుబాటు కాదు. ఏదైనా పేస్ట్ చేసే ముందు ఏది నిర్మిస్తున్నారో నమోదు చేయండి, ఎందుకంటే అసమానత తర్వాత కాన్ఫిగరేషన్ లోపంగా కాకుండా సెలెక్టర్ సమస్యగా కనిపిస్తుంది. Microsoft ASA ఇంటరాపరేటిబిలిటీ గైడ్ రెండు నమూనాలను కవర్ చేస్తుంది మరియు ప్రతిది ఏ Azure గేట్‌వే నమూనాను ఊహిస్తుందో చెబుతుంది. మీ నోట్స్ నమూనాను పేర్కొనకపోతే, ఇంకా డిజైన్ లేదు.

పాలసీ ఆధారిత ట్రాఫిక్ సెలెక్టర్‌లతో కూడిన రూట్ ఆధారిత Azure గేట్‌వే ఒక నిర్దిష్ట డాక్యుమెంట్ చేసిన ఎంపిక, డిఫాల్ట్ కాదు. మీ డిజైన్ దానిపై ఆధారపడితే, డిజైన్ అది చెప్పాలి, ఎందుకంటే డిఫాల్ట్ రూట్ ఆధారిత సెలెక్టర్ నమూనా Azure వైపు భిన్నంగా ప్రవర్తిస్తుంది.

వెర్షన్ పరిమితులు కూడా ఒప్పందంలో ఉంటాయి. ఎన్‌క్రిప్షన్ డొమైన్‌ల పరిమితి గురించిన పాత ఫీల్డ్ నివేదిక నిర్దిష్ట విడుదలల గురించిన డేటా పాయింట్, ప్రతి ASA యొక్క శాశ్వత లక్షణం కాదు.

సమగ్రాలను కాదు, ప్రిఫిక్స్ జతలను లెక్కించండి

మ్యాట్రిక్స్ రాయండి. లోకల్ A మరియు B నుండి Azure X మరియు Y వరకు నాలుగు జతలు, మరియు ప్రతిదానికి కవరేజ్ లేదా స్పష్టమైన మినహాయింపు అవసరం. A మరియు B లను ఒక సమగ్రంగా కలపడం వాటి మధ్య ఉన్నవన్నీ కూడా చేరుస్తుంది, అలా డిజైన్ నిశ్శబ్దంగా రంధ్రాన్ని పెంచుతుంది.

మీరు సేవ్ చేసినది కాదు, పీర్‌లు చర్చించినది తనిఖీ చేయండి. ASA లోని లోకల్ మరియు రిమోట్ నెట్‌వర్క్ జాబితా ఉద్దేశం; CHILD SA లు ఫలితం.

జత లేనప్పుడు, సరిదిద్దడం సాధారణంగా access-list లైన్ లేదా సెలెక్టర్ ఎంట్రీ, కొత్త టన్నెల్ కాదు.

వస్తువును పేర్కొనే ఆదేశాలతో ధృవీకరించండి

ASA లో IKE సెషన్, తర్వాత IPsec SA లు, తర్వాత సెలెక్టర్ జతలను నిర్ధారించండి. ప్రతి ఆదేశం వేరే ప్రశ్నకు సమాధానం ఇస్తుంది, మరియు మొదటిది మాత్రమే నడపడం «టన్నెల్ పైకి ఉంది» అనేది తప్పు నిర్ణయంగా మారుస్తుంది. జాబితాలో మొదట వచ్చే SA కాదు, మీరు నిజంగా కాన్ఫిగర్ చేసిన పీర్ కోసం అవుట్‌పుట్ చదవండి. Azure వైపు కూడా అదే మూడు ప్రశ్నలకు తన దృక్కోణం నుండి సమాధానం ఇస్తుంది.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

తర్వాత az network vpn-connection show --name <connection> --query connectionStatus తో Azure ను కనెక్షన్ స్థితి అడగండి. డేటా మార్గంలో సున్నా బైట్లతో «కనెక్ట్ అయింది» అంటే అది రూటింగ్ సమస్య కాదు, సెలెక్టర్ సమస్య.

ప్రతి జతకు ఒక అనుమతించిన ప్రవాహాన్ని పరీక్షించండి, ఆవలి వైపు కనిపించే మూల చిరునామాను పరిశీలించండి, మరియు తిరస్కరించాల్సిన ఒక వనరును ప్రయత్నించండి. ఆ చివరి పరీక్ష మాత్రమే సరిహద్దు ఇంకా ఉందని నిరూపిస్తుంది.

ఎన్‌క్రిప్షన్ పరిధిని యాక్సెస్ అనుమతి నుండి వేరుగా ఉంచండి

విస్తృత సెలెక్టర్ అనుమతి కాదు. మద్దతు ఉన్న లేఅవుట్ అప్లికేషన్ పాలసీ కంటే విస్తృతంగా ఉంటే, సన్నని సేవలను firewall నియమాలలో ఉంచి, ఎన్‌క్రిప్షన్ పరిధిని ఉండాల్సిన చోట ఉంచండి.

Azure వర్క్‌లోడ్ మార్గాలు మరియు లోకల్ రిటర్న్ మార్గాలు విడివిడిగా సమీక్షించబడతాయి. BGP ప్రకటనలు, స్థిర నెట్‌వర్క్ పరిధి మరియు వినియోగదారు నిర్వచించిన మార్గాలు అన్నీ ఒకే మార్గాన్ని వివరించాలి, మరియు వాటిలో ఏదీ పీర్ రవాణాను పునరావృతంగా పట్టుకోకూడదు.

రోల్‌బ్యాక్ మరియు అది పని చేసినందుకు రుజువు

సెలెక్టర్‌లను మార్చే ముందు మునుపటి నడుస్తున్న కాన్ఫిగరేషన్‌ను ఉంచండి, మరియు దాన్ని తిరిగి తెచ్చే ఒకే ఆదేశం తెలుసుకోండి. ASA లో అది సేవ్ చేసిన కాపీ మరియు సరిపోయే పునరుద్ధరణ మార్గం, మీరు ఏమి సవరించారో గుర్తు కాదు. మార్పు ఇంకా ఊహాత్మకంగానే ఉన్నప్పుడు పునరుద్ధరణ ఆదేశాన్ని మార్పు టికెట్‌లో రాయండి. తర్వాత అదే మూడు తనిఖీలను మళ్లీ నడపండి: IKE స్థితి, IPsec SA జతలు, ప్రతి జతకు ఒక అనుమతించిన ప్రవాహం.

పునరుద్ధరణ తర్వాత కూడా జత విఫలమైతే, మార్పు కారణం కాదు, మరియు రెండవ అంతరాయాన్ని మీరు తప్పించుకున్నారు.